Согласие на обработку персональных данных - это отдельный документ или отметка, которыми человек разрешает конкретному оператору обрабатывать конкретные сведения о себе для конкретной цели. Требования к нему установлены статьёй 9 закона от 27.07.2006 № 152-ФЗ «О персональных данных»: разрешение должно быть конкретным, предметным, информированным, сознательным и однозначным. Оно нужно не всегда - закон знает случаи, когда данные обрабатывают без него.
Ниже разобрано, кому и когда такой документ нужен, в какой форме его оформить, что в нём обязательно указать и во что обходятся ошибки по статье 13.11 КоАП РФ в редакции 2026 года. Текст касается любого оператора: сайта с формой заявки, интернет-магазина, клиники, фитнес-клуба, работодателя.
Кто такой оператор и зачем ему разрешение человека
Оператор - любое лицо, которое собирает персональные данные и решает, зачем и как их обрабатывать. Это не только крупные компании: индивидуальный предприниматель с лендингом и формой «Оставьте телефон» тоже оператор. Персональные данные - любая информация, по которой можно определить человека: имя, телефон, адрес электронной почты, адрес доставки.
Разрешение человека - одно из оснований обработки, но не единственное. Статья 6 закона перечисляет условия, при которых обработка законна, и оно стоит в этом списке первым. Если нет ни его, ни другого основания из статьи 6, обработка незаконна, даже если данные хранятся аккуратно и никуда не утекают.
Доказывать законность обработки обязан оператор. Часть 3 статьи 9 возлагает на него обязанность доказать, что разрешение получено, или подтвердить наличие другого основания. Галочка на сайте без журнала, где записано, кто и когда её поставил, - слабое доказательство.
Когда согласие не нужно
Отдельная бумага не требуется, если у оператора есть другое основание из части 1 статьи 6 закона № 152-ФЗ. На практике чаще всего работают четыре основания:
- Исполнение договора с человеком (пункт 5). Магазину нужны имя, телефон и адрес, чтобы доставить заказ, и этого основания достаточно.
- Исполнение обязанности по закону (пункт 2). Сдача отчётности, расчёт налогов, ответ на запрос государственного органа.
- Участие в суде и исполнительном производстве (пункты 3 и 3.1).
- Защита жизни и здоровья, если получить согласие невозможно (пункт 6).
Граница проходит по цели. Основание «исполнение договора» покрывает ровно то, что нужно для договора. Рассылка скидок тому же покупателю под него уже не подпадает: по статье 15 закона продвижение товаров через прямые контакты по телефону, почте или в мессенджерах допускается только с предварительного согласия, а если оператор не докажет, что получил его, закон считает, что разрешения не было.
Форма согласия: простая или письменная
По общему правилу разрешение даётся в любой форме, которая позволяет подтвердить факт его получения. Для сайта это отметка в чекбоксе с сохранением в базе даты, времени и показанного текста. Письменная форма обязательна только там, где её прямо требует федеральный закон.
Письменную форму закон требует, в частности, для специальных категорий данных. Статья 10 закона № 152-ФЗ относит к ним сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни. Их обработка по общему правилу запрещена, а первое исключение из запрета - письменное согласие человека. Другие исключения узкие: например, медицинская организация, обязанная хранить врачебную тайну, обрабатывает данные о здоровье в медицинских целях без такой бумаги.
| Ситуация | Нужно ли согласие | Форма |
|---|---|---|
| Доставка заказа по договору | Нет, основание - договор | - |
| Форма обратной связи на сайте | Да | Любая подтверждаемая: чекбокс с журналом |
| Рекламная рассылка по почте или SMS | Да, предварительное | Любая подтверждаемая, отдельно от договора |
| Анкета о здоровье в фитнес-клубе | Да | Письменная или электронная с подписью |
| Публикация фото клиента в соцсетях компании | Да, на распространение | Отдельное согласие по статье 10.1 |
Бумажному документу с собственноручной подписью равнозначен электронный документ, подписанный электронной подписью в соответствии с законом. Это прямо сказано в части 4 статьи 9.
Согласие на распространение данных - отдельный вид. Если сведения будут доступны неограниченному кругу лиц (фото на сайте, отзыв с именем, список победителей акции), документ по статье 10.1 оформляется отдельно от всех остальных, и человек сам выбирает, какие данные разрешает распространять.
Что должно быть в письменном согласии
Часть 4 статьи 9 закона № 152-ФЗ перечисляет девять обязательных элементов письменного согласия. Пропуск любого из них - самостоятельное нарушение по части 2 статьи 13.11 КоАП РФ, даже если подпись стоит.
- ФИО и адрес человека, номер паспорта, дата выдачи и выдавший орган.
- Те же сведения о представителе и реквизиты доверенности, если согласие даёт представитель.
- Наименование или ФИО и адрес оператора.
- Цель обработки.
- Перечень данных, на обработку которых даётся согласие.
- Наименование и адрес лица, которое обрабатывает данные по поручению оператора, если такое есть: служба доставки, облачная CRM, колл-центр.
- Перечень действий с данными и общее описание способов обработки.
- Срок действия согласия и способ его отзыва.
- Подпись.
Ещё одно правило добавил в часть 1 статьи 9 закон от 24.06.2025 № 156-ФЗ: согласие оформляется отдельно от иных документов, которые человек подписывает. Абзац о персональных данных внутри договора, анкеты или пользовательских правил требованиям больше не отвечает, нужен самостоятельный документ или отдельная отметка.
Бесплатный шаблон согласия на обработку персональных данных в каталоге содержит все девять элементов. Для сотрудников есть отдельная версия - согласие работника; как работодателю выстроить весь кадровый контур, разобрано в статье о персональных данных работников.
Пример: интернет-магазин собирает данные покупателей
Магазин продаёт косметику через сайт. При оформлении заказа покупатель вводит имя, телефон, почту и адрес, а под кнопкой «Оформить» стоит галочка «Хочу получать скидки». Разберём, где здесь нужно разрешение покупателя и каким оно должно быть.
Для доставки заказа отдельная отметка не нужна: имя, телефон и адрес нужны для исполнения договора купли-продажи, основание - пункт 5 части 1 статьи 6. Если магазин работает по публичной оферте, условия договора описаны в ней; как её составить, рассказано в статье об оферте и счёте-оферте.
Для рассылки скидок отметка нужна, и вот какой она должна быть:
- отдельная галочка, не отмеченная заранее и не совмещённая с принятием условий оферты;
- рядом полный текст или ссылка на него, где указаны цель («рассылка информации об акциях»), перечень данных (имя, почта, телефон), действия с данными и срок;
- назван сервис рассылок, если магазин поручает отправку ему;
- указан способ отзыва: ссылка «Отписаться» в каждом письме и адрес для заявления;
- в базе хранятся дата, время, IP-адрес и версия текста, которую видел покупатель.
Кроме этого, на странице с формой должна висеть политика обработки персональных данных. Часть 2 статьи 18.1 закона № 152-ФЗ обязывает оператора, который собирает данные через интернет, опубликовать её на страницах сайта, через которые идёт сбор.
Нужна любому сайту, где есть форма заявки, корзина, личный кабинет, рассылка или счётчик аналитики. Её утверждает владелец сайта — компания или ИП — и выкладывает в открытом доступе; подписи посетителей и нотариуса не требуются. В ней перечисляют, какие данные собирают, зачем, кому передают и сколько хранят. Опубликовать такой документ в интернете обязывает ч. 2 ст. 18.1 закона 152-ФЗ.
Отзыв согласия
Человек может отозвать своё разрешение в любой момент, это прямо установлено частью 2 статьи 9. После отзыва оператор обязан прекратить обработку и, если данные больше не нужны для целей обработки, уничтожить их в срок не более тридцати дней с даты поступления отзыва (часть 5 статьи 21).
Отзыв не всегда означает полное удаление. Оператор вправе продолжить обработку, если у него есть другое основание из пунктов 2-11 части 1 статьи 6: например, магазин сохранит данные по уже оплаченному заказу для бухгалтерии и возврата товара, а из рассылки покупателя уберёт. Для рекламных контактов закон строже: по статье 15 такая обработка прекращается немедленно по требованию человека.
Типичные ошибки операторов
Большинство претензий возникает не из-за отсутствия документа, а из-за его содержания. Три ошибки встречаются чаще других.
Разрешение «на всё». Формулировка «даю согласие на обработку моих персональных данных в любых целях, любыми способами, бессрочно» нарушает требование конкретности и предметности из части 1 статьи 9. Одна бумага на доставку, рассылку, передачу партнёрам и публикацию отзывов не работает: каждая цель описывается отдельно, а распространение оформляется самостоятельным документом.
Нет способа отзыва. Срок действия и способ отзыва - обязательный восьмой элемент письменной формы. Если в тексте не сказано, куда и как направить отзыв, документ неполон, а на сайте человеку фактически некуда обратиться.
Текст спрятан в договоре. После закона № 156-ФЗ пункт о данных внутри оферты или анкеты не заменяет отдельного документа. Заранее проставленная галочка тоже плохой вариант: она не показывает, что решение было сознательным и однозначным.
Штрафы по статье 13.11 КоАП РФ
Штрафы за нарушения с персональными данными выросли по закону от 30.11.2024 № 420-ФЗ и закону от 12.12.2023 № 589-ФЗ. Ниже суммы из действующей редакции статьи 13.11 КоАП РФ для нарушений, связанных с согласием:
| Нарушение | Норма | Граждане | Должностные лица | Юридические лица |
|---|---|---|---|---|
| Обработка без законного основания или несовместимая с целями сбора | ч. 1 | 10-15 тыс. руб. | 50-100 тыс. руб. | 150-300 тыс. руб. |
| То же повторно | ч. 1.1 | 15-30 тыс. руб. | 100-200 тыс. руб. | 300-500 тыс. руб. |
| Нет письменного согласия, когда оно обязательно, или в нём не хватает сведений | ч. 2 | 10-15 тыс. руб. | 100-300 тыс. руб. | 300-700 тыс. руб. |
| То же повторно | ч. 2.1 | 15-30 тыс. руб. | 300-500 тыс. руб. | 1-1,5 млн руб. |
| Политика обработки не опубликована | ч. 3 | 1,5-3 тыс. руб. | 6-12 тыс. руб. | 30-60 тыс. руб. |
Для индивидуальных предпринимателей часть 2.1 устанавливает отдельный размер - от 500 тысяч до 1 миллиона рублей, часть 3 - от 10 до 20 тысяч рублей. Повторное нарушение для компании обходится как минимум в миллион рублей - дороже, чем самая большая сумма за первое.
Политику, согласие и внутренние правила удобнее готовить одним комплектом: тогда цели, перечни данных и сроки в документах совпадают.
Политику обработки персональных данных утверждает каждая организация или предприниматель, которые собирают сведения о работниках, клиентах или посетителях сайта. Подписывает её руководитель оператора, нотариус не нужен. Оператор обязан обеспечить свободный доступ к политике, а если собирает данные через интернет — опубликовать её на своём сайте (ст. 18.1 закона № 152-ФЗ). За отсутствие политики грозит штраф по КоАП РФ.
Частые вопросы
Когда нужно согласие на обработку персональных данных?
Когда у оператора нет другого основания из ч. 1 ст. 6 закона № 152-ФЗ. Отдельная бумага не нужна, если обработка идёт для исполнения договора (магазину нужны имя, телефон и адрес для доставки), для исполнения обязанности по закону, в суде и исполнительном производстве, для защиты жизни и здоровья. Граница проходит по цели: рассылка скидок покупателю под основание «исполнение договора» не подходит. Образец: согласие на обработку персональных данных.
В какой форме даётся согласие?
По общему правилу в любой форме, позволяющей подтвердить факт получения: для сайта это отметка в чекбоксе с сохранением в базе. Письменная форма нужна, в частности, для специальных категорий данных (расовая и национальная принадлежность, состояние здоровья, ст. 10 закона). Бумажному документу с подписью равнозначен электронный документ с электронной подписью. Согласие на распространение данных — отдельный вид, его оформляют по ст. 10.1.
Что должно быть в письменном согласии?
Девять обязательных элементов по ч. 4 ст. 9 закона № 152-ФЗ: в частности ФИО и данные паспорта субъекта, наименование и адрес оператора, цель обработки, перечень данных, перечень действий, срок действия согласия и способ его отзыва, подпись. Пропуск любого из них — самостоятельное нарушение. Согласие оформляется отдельно от иных документов, которые подписывает человек.
Кто доказывает, что согласие получено?
Оператор: ч. 3 ст. 9 закона № 152-ФЗ возлагает на него обязанность доказать, что согласие получено, или подтвердить наличие другого основания обработки. Поэтому чекбокс на сайте нужно сохранять с датой, временем и версией текста.
Нужно ли отдельное согласие на публикацию фото клиента?
Да, публикация фото клиента в соцсетях компании требует отдельного согласия на распространение по ст. 10.1 закона № 152-ФЗ. Если сведения будут доступны неограниченному кругу лиц (фото на сайте, отзыв с именем, список победителей), общее согласие на обработку недостаточно.
Коротко о главном
- Согласие на обработку персональных данных нужно, если у оператора нет другого основания из части 1 статьи 6 закона № 152-ФЗ; для исполнения договора с человеком оно не требуется.
- Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным и по новой редакции статьи 9 оформляться отдельно от других документов.
- Письменная форма обязательна для специальных категорий данных (здоровье, религия, убеждения и другие по статье 10) и в других случаях, прямо указанных в законе.
- В письменном согласии девять обязательных элементов, включая цель, перечень данных, срок и способ отзыва.
- Для рекламной рассылки нужно отдельное предварительное согласие, для публикации данных - отдельное согласие на распространение.
- После отзыва согласия данные уничтожают в течение тридцати дней, если нет другого основания их хранить.
- Обработка без письменного согласия, когда оно обязательно, стоит компании от 300 до 700 тысяч рублей, повторно - до 1,5 миллиона.